Die Expansion großer Städte und die Bildung von Agglomerationen ist einer der wichtigen Trends der sozialen Entwicklung heute. Allein Moskau soll im Jahr 2019 um 4 Millionen Quadratmeter Wohnfläche wachsen (und das sind nicht einmal die 15 Siedlungen, die bis 2020 angeschlossen werden). In diesem riesigen Gebiet müssen die Telekommunikationsanbieter den Nutzern Zugang zum Internet bereitstellen. Dies können sowohl städtische Wohngebiete mit dichter Mehrfamilienhäusern als auch „lockere“ Wochenendsiedlungen sein. In diesen Fällen unterscheiden sich die Anforderungen an die Ausstattung etwas. Wir haben jedes dieser Szenarien analysiert und ein universelles Modell eines optischen Switches – T2600G-28SQ – entwickelt. In diesem Beitrag werden wir die Möglichkeiten des Geräts im Detail beleuchten, die für Telekommunikationsanbieter in ganz Russland von Interesse sind.
Platz im Netzwerk
Der Switch T2600G-28SQ ist sowohl für den Zugriff auf Netzwerke als auch für die Aggregation von Verbindungen anderer Zugriffsswitches konzipiert. Dies ist ein Switch der zweiten Ebene, der Switching und statisches Routing durchführt. Wenn der Anbieter sowohl Aggregation als auch Zugang auf schaltbare Weise eingerichtet hat (Routing nur im Kernnetz), passt sich der T2600G-28SQ an jede dieser Ebenen an. Bei dynamisch gerouteter Aggregation müssen jedoch einige Einschränkungen hinsichtlich der Nutzungsszenarien berücksichtigt werden.
Das Modell T2600G-28SQ ist ein vollständiger aktiver Ethernet-Switch ohne zusätzliche Einschränkungen, die bei der Verwendung von xPON-Technologien oder ähnlichem entstehen. Zum Beispiel ohne die Gefahr einer drastischen Geschwindigkeitsreduktion mit zunehmender Anzahl von Nutzern oder schlechter Kompatibilität zwischen Geräten unterschiedlicher Anbieter und Firmware. An die Schnittstellen des Geräts können sowohl Endnutzer als auch untergeordnete Zugriffsswitches mit optischen Uplinks angeschlossen werden, zum Beispiel das Modell T2600G-28TS. Im Diagramm unten sind die häufigsten Beispiele solche Verbindungen dargestellt.
Für den Zugang zum Netz des Endnutzers kann sowohl ein optisches Kabel als auch ein verdrilltes Paar verwendet werden. Auf der Seite des Abonnenten kann das optische Kabel entweder durch einen Medienkonverter (Media Converter), zum Beispiel TP-Link MC220L, oder mit einem optischen Schnittstelle in einem SOHO-Router abgeschlossen werden.
Um einen nahen klienten zu verbinden, können vier RJ-45-Ports verwendet werden, die mit Geschwindigkeiten von 10/100/1000 Mbit/s arbeiten. Sollte dies aus irgendeinem Grund nicht ausreichen, kann der Betreiber die optischen Schnittstellen des Switches in kupferne umwandeln. Dies kann mit speziellen „kupfernen“ SFP-Modulen mit RJ-45-Anschluss erfolgen. Diese Lösung ist jedoch nicht als Standard zu bezeichnen.
Einige Beispiele aus der Praxis
Um das Bild zu vervollständigen, bringen wir einige Beispiele für die Verwendung von Switches des Modells T2600G-28SQ.
Provider aus der Region Moskau , die neben Internet auch Telefonie- und Kabel-TV-Dienste anbieten, nutzen den T2600G-28SQ als Zugangsebene beim Aufbau von Netzwerken in Wohngebieten (Einfamilienhäuser und Reihenhäuser). Vom Kunden aus erfolgt die Verbindung zu Routern mit SFP-Anschluss sowie Medienkonvertern. Momentan werden bei uns keine SOHO-Router mit SFP-Anschluss serienmäßig hergestellt, aber wir denken natürlich darüber nach.
Telekommunikationsanbieter aus dem Bezirk Pawlowsk-Posad verwendet Switches T2600G-28SQ als „kleine Aggregation“, unter Verwendung von Switches der Modelle T2600G-28TS und T2500G-10TS für den Zugang.
Die Unternehmensgruppe bietet im Südosten der Region Moskau (Kolomna, Luhowizy, Sarajsk, Silberne Teiche, Össer) Zugang zum Internet, TV, Telefonie und Videosurveillance-Systeme an. Die ungefähre Topologie hier ähnelt der von MKS: T2600G-28SQ auf der Aggregationsebene und T2600G-28TS sowie T2500G-10TS auf der Zugangsebene.
Provider aus Krasnoznamensk bietet Internetzugang über ein Netzwerk mit tiefem Glasfaser-Einsatz an. Auch hier basieren die Systeme auf T2600G-28SQ.
In den folgenden Abschnitten werden wir einige Funktionen des Modells T2600G-28SQ kurz beschreiben. Um das Material nicht aufzublähen, lassen wir einige Optionen wie QinQ (VLAN VPN), Routing, QoS usw. außen vor. Wir glauben, dass wir in einem der nächsten Beiträge darauf zurückkommen können.
Funktionen des Switches
Redundanz – STP
STP – Spanning Tree Protocol. Der Spanning-Tree-Protokoll ist schon sehr lange bekannt, dafür gebührt Dank der angesehenen Radia Perlman. In modernen Netzwerken versuchen Administratoren, die Verwendung dieses Protokolls zu vermeiden. Ja, STP hat seine Nachteile. Es ist jedoch vorteilhaft, wenn es eine Alternative gibt. Wie so oft hängt die Alternative zu diesem Protokoll stark vom Anbieter ab. Deshalb bleibt das Spanning Tree Protocol bis heute fast die einzige Lösung, die von nahezu allen Herstellern unterstützt wird und allen Netzwerkadministratoren bekannt ist.
Der TP-Link Switch T2600G-28SQ unterstützt drei STP-Versionen: klassisches STP (IEEE 802.1D), RSTP (802.1W) und MSTP (802.1S).
Für die meisten kleinen Internetanbieter in Russland ist das normale RSTP in der Regel ausreichend, da es im Vergleich zur klassischen Version einen unbestreitbaren Vorteil hat — eine deutlich kürzere Konvergenzzeit.
Das flexibelste Protokoll ist derzeit MSTP, das virtuelle Netzwerke (VLAN) unterstützt und mehrere verschiedene Bäume zulässt, sodass alle verfügbaren Backup-Pfade genutzt werden können. Der Administrator erstellt mehrere unterschiedliche Instanzen des Baums (bis zu acht), wobei jede bestimmte virtuelle Netzwerke bedient.
Detailfragen zu MSTPAnfängeradministratoren müssen beim Einsatz von MSTP sehr vorsichtig sein. Das liegt daran, dass sich das Verhalten des Protokolls innerhalb eines Bereichs und zwischen den Bereichen unterscheidet. Daher sollten beim Konfigurieren der Switches darauf geachtet werden, dass man innerhalb eines bestimmten Bereichs bleibt.
Was genau ist dieser berüchtigte Bereich? Ein Bereich im Sinne von MSTP ist eine Gruppe von miteinander verbundenen Switches, die die folgenden Merkmale gemeinsam haben: Name des Bereichs, Versionsnummer und die Verteilung der virtuellen Netzwerke (VLAN) zwischen den Protokollinstanzen.
Natürlich ermöglicht das Spanning Tree Protocol (in jeder Version) nicht nur das Bekämpfen von Schleifen, die beim Anschluss von Backup-Kanälen entstehen, sondern schützt auch vor Verkabelungsfehlern, wenn ein Ingenieur absichtlich oder versehentlich die falschen Ports verbindet und so selbst eine Schleife schafft.
Erfahrene Netzwerkadministratoren ziehen es vor, verschiedene zusätzliche Optionen zu nutzen, um das STP-Protokoll vor Angriffen oder komplexen Notfällen zu schützen. Das Modell T2600G-28SQ bietet eine Reihe solcher Funktionen: Loop Protect, Root Protect, TC Guard, BPDU Protect und BPDU Filter.
Die richtige Nutzung der oben genannten Optionen in Kombination mit anderen unterstützten Sicherheitsmechanismen wird dazu beitragen, das lokale Netzwerk zu stabilisieren und vorhersehbarer zu gestalten.
Redundanz – LAG
LAG – Link Aggregation Group. Dies ist eine Technologie, die es ermöglicht, mehrere physische Kanäle zu einem logischen zu kombinieren. Alle anderen Protokolle hören auf, die in LAG enthaltenen physischen Kanäle einzeln zu verwenden, und beginnen, ein logisches Interface zu „sehen“. Ein Beispiel für ein solches Protokoll ist STP.
Die Verteilung des Benutzerdatenverkehrs zwischen den physischen Kanälen innerhalb des Logischen erfolgt auf der Grundlage einer Hashsumme. Für die Berechnung können die MAC-Adressen des Senders, des Empfängers oder deren Paar sowie die IP-Adressen des Senders, des Empfängers oder deren Paar verwendet werden. Informationen der Protokolle der vierten Ebene (TCP/UDP-Ports) werden nicht berücksichtigt.
Der Switch T2600G-28SQ unterstützt sowohl statische als auch dynamische LAG.
Zur Aushandlung der Betriebsparameter der dynamischen Gruppe wird das LACP-Protokoll verwendet.
Sicherheit – Zugriffskontrolllisten (ACL)
Unser Switch T2600G-28SQ ermöglicht das Filtern des Benutzerdatenverkehrs mittels Zugriffskontrolllisten (ACL – Access Control List).
Unterstützte Zugriffskontrolllisten können verschiedenen Typen angehören: MAC und IP (IPv4/IPv6), kombinierte sowie zur Durchführung von Inhaltsfilterung. Die Anzahl der unterstützten Zugriffskontrolllisten jedes Typs hängt vom derzeit verwendeten SDM-Template ab, das wir in einem anderen Abschnitt beschrieben haben.
Der Betreiber kann diese Option nutzen, um unerwünschten Datenverkehr im Netzwerk zu blockieren. Ein Beispiel für solchen Datenverkehr sind IPv6-Pakete (mithilfe des EtherType-Feldes), wenn der entsprechende Dienst nicht bereitgestellt wird; oder um SMB über Port 445 zu blockieren. In einem Netzwerk mit statischer DHCP/BOOTP-Adressierung wird kein Datenverkehr benötigt, weshalb der Administrator mit Hilfe von ACL UDP-Datagramme über die Ports 67 und 68 filtern kann. Auch der lokale IPoE-Datenverkehr kann mithilfe von ACL blockiert werden. Solch eine Blockierung kann in Netzwerken von Betreibern, die PPPoE anwenden, erforderlich sein.
Der Prozess der Verwendung von Zugriffskontrolllisten ist denkbar einfach. Nach der Erstellung der Liste müssen die gewünschten Einträge hinzugefügt werden, deren Typ direkt von der konfigurierten Liste abhängt.
Konfiguration von Zugriffskontrolllisten
Es sollte beachtet werden, dass Zugriffskontrolllisten nicht nur die üblichen Operationen zum Erlauben oder Verhindern von Datenverkehr ausführen können, sondern auch dessen Umleitung, Spiegelung sowie die Umbenennung oder Geschwindigkeitsbegrenzung des Datenverkehrs übernehmen können.
Nachdem alle erforderlichen ACL erstellt wurden, kann der Administrator deren Installation durchführen. Es ist erlaubt, eine Zugriffskontrollliste sowohl an einen physischen Port als auch an ein bestimmtes virtuelles Netzwerk anzuhängen.
Sicherheit – Anzahl der MAC-Adressen
Manchmal benötigen Betreiber eine Einschränkung der Anzahl der MAC-Adressen, die ein Switch an einem bestimmten Port lernen kann. Zugriffskontrolllisten ermöglichen diesen Effekt, erfordern jedoch die explizite Angabe der MAC-Adressen. Wenn nur die Anzahl der Kanaladressen begrenzt werden soll, dies jedoch nicht explizit angegeben werden soll, kommt die Port-Sicherheit ins Spiel.
Eine solche Einschränkung kann beispielsweise erforderlich sein, um zu verhindern, dass ein ganzes lokales Netzwerk an einem einzigen Schnittstelle des Switches des Anbieters angeschlossen wird. Es sei erwähnt, dass es sich hier um eine Switch-Verbindung handelt, da beim Anschluss über einen Router auf der Clientseite T2600G-28SQ nur eine Adresse lernen wird – das MAC-Adresse, das dem WAN-Port des Client-Routers gehört.
Es gibt eine ganze Klasse von Angriffen auf die Switching-Tabelle. Dazu gehören sowohl das Überlaufen der Tabelle als auch MAC-Spoofing. Die Port-Sicherheitsoption hilft, sich vor dem Überlaufen der Bridge-Tabelle und vor Angriffen zu schützen, die darauf abzielen, den Switch absichtlich umzuprogrammieren und seine Bridge-Tabelle zu vergiften.
Es ist unmöglich, auch die fehlerhafte Endgerätehardware nicht zu erwähnen. Es kommt häufig vor, dass eine schlecht funktionierende Netzwerkkarte oder ein Router einen Datenstrom mit völlig zufälligen Quell- und Zieladressen erzeugt. Ein solcher Datenstrom kann CAM leicht erschöpfen.
Ein weiteres Mittel zur Begrenzung der Anzahl der verwendeten Einträge in der Bridge-Tabelle ist das MAC VLAN Security-Tool, mit dem der Administrator die maximale Anzahl von Einträgen für ein bestimmtes virtuelles Netzwerk festlegen kann.
Neben der Verwaltung dynamischer Einträge in der Switching-Tabelle kann der Administrator auch statische Einträge erstellen.
Die Bridge-Tabelle des Modells T2600G-28SQ kann maximal bis zu 16K Einträge aufnehmen.
Eine weitere Funktion zur Filterung des Benutzerdatenverkehrs ist die Port-Isolation, mit der ausdrücklich festgelegt werden kann, in welcher Richtung die Weiterleitung erlaubt ist.
Sicherheit – IMPB
In unserer weiten Heimat variiert der Ansatz der Telefonanbieter zur Gewährleistung der Netzsicherheit von völliger Ignoranz bis hin zur maximalen Nutzung aller vom Equipment unterstützten Optionen.
Die IPv4 IMPB (IP-MAC-Port-Bindung) und IPv6 IMPB ermöglichen es, sich vor einer ganzen Reihe von Angriffen, die mit der Manipulation von IP- und MAC-Adressen durch Endbenutzer zusammenhängen, zu schützen, indem sie die IP- und MAC-Adressen der Endgeräte an den Interface des Providers bindet. Diese Bindung kann manuell oder mithilfe der Funktionen ARP Scanning und DHCP Snooping erfolgen.
Haupteinstellungen IMPB
Der Fairness halber sei erwähnt, dass für den Schutz des DHCP-Protokolls eine spezielle Funktion, der DHCP-Filter, angewendet werden kann.
Mit dieser Funktion kann der Netzwerkadministrator manuell angeben, welche Interfaces mit echten DHCP-Servern verbunden sind. So können gefälschte DHCP-Server nicht in den Prozess der IP-Parameter-Aushandlung eindringen.
Sicherheit – DoS Defender
Das betrachtete Modell schützt Benutzer vor mehreren der bekanntesten und früher verbreiteten DoS-Attacken.
Die meisten der genannten Angriffe sind für Geräte mit modernen Betriebssystemen nicht mehr bedrohlich, jedoch können in unseren Netzwerken nach wie vor Geräte vorkommen, deren letzte Softwareaktualisierung vor vielen Jahren durchgeführt wurde.
DHCP-Unterstützung
Der TP-Link T2600G-28SQ-Switch kann sowohl als DHCP-Server als auch als Relay fungieren und verschiedene DHCP-Nachrichten filtern, wenn ein anderes Gerät als Server agiert.
Der einfachste Weg, den Benutzern die erforderlichen IP-Parameter zur Verfügung zu stellen, besteht darin, den im Switch integrierten DHCP-Server zu aktivieren. Die grundlegenden Parameter können damit bereits an die Teilnehmer übergeben werden.
Wir haben unseren SOHO-Router Archer C6 an eines der Interfaces des Switches angeschlossen und bestätigt, dass das Clientgerät erfolgreich eine Adresse erhalten hat.
So sieht es aus
Der im Switch integrierte DHCP-Server ist wohl nicht die skalierbarste und flexibelste Lösung: Es gibt keine Unterstützung für benutzerdefinierte Optionen, und die Verbindung zu IPAM fehlt. Wenn der Betreiber mehr Kontrolle über den Prozess der IP-Adressverteilung benötigt, wird ein dedicated DHCP-Server verwendet.
T2600G-28SQ ermöglicht es, für jedes Benutzer-Subnetz einen separaten dedizierten DHCP-Server anzugeben, an den die Nachrichten des besprochenen Protokolls weitergeleitet werden. Die Auswahl des Subnetzes erfolgt durch Angabe des entsprechenden L3-Interfaces: VLAN (SVI), gerouteter Port oder Port-Channel.
Um die Funktionalität des Relays zu überprüfen, haben wir einen separaten Router eines anderen Anbieters konfiguriert, der als DHCP-Server fungieren soll. Die Einstellungen sind unten dargestellt.
R1#sho run | s pool
ip dhcp pool test
network 192.168.0.0 255.255.255.0
default-router 192.168.0.1
dns-server 8.8.8.8Der Client-Router hat erneut erfolgreich eine IP-Adresse erhalten.
R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address Client-ID/ Lease expiration Type
Hardware address/
User name
192.168.0.2 010c.8063.f0c2.6a May 24 2019 05:07 PM AutomaticUnter dem Spoiler befindet sich der Inhalt des abgefangenen Pakets zwischen dem Switch und dem dedizierten DHCP-Server.
Inhalt des Pakets
Es ist erwähnenswert, dass der Switch Option 82 unterstützt. Bei Aktivierung fügt der Switch Informationen zur Benutzeroberfläche hinzu, von der die DHCP Discover-Nachricht empfangen wurde. Darüber hinaus ermöglicht das Modell T2600G-28SQ die Konfiguration der Richtlinie zur Verarbeitung der hinzugefügten Informationen beim Einfügen von Option Nr. 82. Die Unterstützung dieser Option kann nützlich sein, wenn einem Abonnenten dieselbe IP-Adresse zugewiesen werden muss, unabhängig davon, welche Client-ID er meldet.
Im folgenden Bild ist die von einem Relay übertragene DHCP Discover-Nachricht mit der hinzugefügten Option Nr. 82 zu sehen.
Nachricht mit Option Nr. 82
Natürlich kann die Option Nr. 82 auch ohne eine vollständige DHCP-Relay-Konfiguration verwaltet werden. entsprechende Einstellungen sind im Unterpunkt „DHCP L2 Relay“ enthalten.
Nun ändern wir die Einstellungen des DHCP-Servers, um die Funktion der Option Nr. 82 zu demonstrieren.
R1#sho run | s dhcp
ip dhcp pool test
network 192.168.0.0 255.255.255.0
default-router 192.168.0.1
dns-server 8.8.8.8
class option82_test
address range 192.168.0.222 192.168.0.222
ip dhcp class option82_test
relay agent information
relay-information hex 010e010c74702d6c696e6b5f746573740208000668ff7b66f675
R1#sho ip dhcp binding
Bindings from all pools not associated with VRF:
IP address Client-ID/ Lease expiration Type
Hardware address/
User name
192.168.0.222 010c.8063.f0c2.6a May 24 2019 05:33 PM AutomaticSo könnte das aussehen
Die Funktion des DHCP Interface Relay ist nützlich, wenn der Switch nicht nur über ein L3-Interface verfügt, das mit einem bestimmten Netzwerk verbunden ist, sondern auch, wenn dieses Interface eine IP-Adresse hat. Fehlt eine Adresse auf einem solchen Interface, kommt die Funktion des DHCP VLAN Relay ins Spiel. Die Informationen über das Subnetz stammen in diesem Fall vom Standardinterface, sodass Adressräume in mehreren virtuellen Netzwerken identisch (überlappen) sind.
Häufig müssen Betreiber auch Abonnenten davor schützen, versehentlich oder böswillig einen DHCP-Server auf der Kundenausrüstung zu aktivieren. Diese Funktionalität haben wir in einen Abschnitt über Sicherheitsfragen ausgelagert.
IEEE 802.1X
Eine der Methoden zur Authentifizierung von Benutzern im Netzwerk ist die Verwendung des IEEE 802.1X-Protokolls. Die Beliebtheit dieses Protokolls in den Kommunikationsnetzen in Russland nimmt zwar ab, es wird jedoch immer noch hauptsächlich in lokalen Netzwerken großer Unternehmen zur Authentifizierung interner Benutzer verwendet. Der Switch T2600G-28SQ unterstützt 802.1X, daher kann der Anbieter ihn bei Bedarf problemlos aktivieren.
Für den Betrieb des IEEE 802.1X-Protokolls sind drei Teilnehmer erforderlich: die Client-Ausrüstung (supplicant), der Zugangsswitch des Anbieters (authenticator) und die Authentifizierungsserver (in der Regel RADIUS-Server).
Die Grundkonfiguration aufseiten des Anbieters ist äußerst einfach. Es muss lediglich die IP-Adresse des verwendeten RADIUS-Servers angegeben werden, auf dem die Benutzerdatenbank gespeichert wird, sowie die Schnittstellen ausgewählt werden, für die eine Authentifizierung erforderlich ist.
Grundkonfiguration 802.1X
Auch auf der Clientseite ist eine minimale Konfiguration erforderlich. Alle modernen Betriebssysteme enthalten bereits die notwendige Software. Bei Bedarf kann jedoch auch der TP-Link 802.1x Client installiert und verwendet werden – eine Anwendung, die die Authentifizierung des Clients im Netzwerk ermöglicht.
Beim Anschluss des Endbenutzers direkt an das Netzwerk des Anbieters müssen die Authentifizierungseinstellungen für die Netzwerkkarte aktiviert werden, die für die Verbindung verwendet wird.
In der heutigen Zeit wird jedoch in der Regel nicht der Computer des Benutzers direkt an das Netzwerk des Anbieters angeschlossen, sondern ein SOHO-Router, der den Betrieb des lokalen Netzwerks des Abonnenten (sowohl kabelgebunden als auch kabellos) gewährleistet. In diesem Fall müssen alle Einstellungen für das 802.1X-Protokoll direkt am Router vorgenommen werden.
Wir sind der Meinung, dass diese Authentifizierungsmethode in Anbieternetzen zu Unrecht in Vergessenheit geraten ist. Ja, die starre Bindung des Abonnenten an den Port des Switches wird vielleicht eine einfachere Lösung aus Sicht der Einstellungen der Benutzerhardware sein. Aber wenn die Verwendung von Benutzername und Passwort erforderlich ist, wird 802.1X nicht so schwerfällig sein im Vergleich zu den verwendeten Verbindungen auf Basis von PPTP/L2TP/PPPoE-Tunneln.
PPPoE ID Einfügung
Viele Nutzer, nicht nur in unserem Land, sondern weltweit, bevorzugen immer noch extrem einfache Passwörter. Und leider sind Fälle von Diebstahl von Anmeldedaten keine Seltenheit. Wenn der Betreiber in seinem Netzwerk das PPPoE-Protokoll zur Authentifizierung von Benutzern nutzt, kann der TP-Link T2600G-28SQ-Switch helfen, das Problem des Datenlecks zu lösen. Dies wird erreicht, indem eine spezielle Kennzeichnung zur PPPoE Active Discovery-Nachricht hinzugefügt wird. Auf diese Weise kann der Anbieter den Abonnenten nicht nur anhand von Benutzername und Passwort, sondern auch anhand zusätzlicher Daten authentifizieren. Zu diesen zusätzlichen Daten gehören die MAC-Adresse des Client-Geräts sowie der Switch-Port, an den es angeschlossen ist.
Einige Anbieter möchten im Grunde dem Abonnenten (Kombination aus Benutzername und Passwort) die Möglichkeit verbieten, sich im Netzwerk zu bewegen. Die Funktion PPPoE ID Insertion hilft auch in diesem Fall.
IGMP
Das IGMP-Protokoll (Internet Group Management Protocol) existiert schon seit mehreren Jahrzehnten. Seine Popularität ist durchaus nachvollziehbar und leicht zu erklären. Doch beim IGMP-Austausch sind zwei Seiten beteiligt: der PC des Benutzers (oder ein anderes Gerät, z. B. STB) und der IP-Router, der einen bestimmten Netzwerkbereich bedient. Switches sind an diesem Austausch nicht beteiligt. Allerdings ist diese Aussage nicht ganz korrekt. Oder in modernen Netzwerken ganz und gar nicht korrekt. Die Unterstützung des IGMP-Protokolls durch Switches ist notwendig, um die Weiterleitung von Multicast-Datenverkehr zu optimieren. Indem der Switch den Benutzerdatenverkehr überwacht, erkennt er IGMP Report-Nachrichten, mit denen er die Ports für die Weiterleitung von Multicast-Datenverkehr bestimmt. Diese Funktion wird als IGMP Snooping bezeichnet.
Die Unterstützung des IGMP-Protokolls kann nicht nur zur Optimierung des Datenverkehrs selbst verwendet werden, sondern auch zur Bestimmung von Abonnenten, die einen bestimmten Dienst, z. B. IPTV, erhalten können. Das gewünschte Ziel kann sowohl durch manuelle Anpassung der Filterparameter als auch durch Authentifizierung erreicht werden.
Die Unterstützung für Multicast-Datenverkehr auf TP-Link-Switches ist ziemlich flexibel umgesetzt. Beispielsweise können alle Parameter für jedes virtuelle Netzwerk einzeln festgelegt werden.
Wenn an einem Router-Interface mehrere Subnetze angeschlossen sind, in denen sich Gruppenempfänger befinden, muss dieser Router mehrere Kopien der Pakete über dieses Interface senden (eine für jedes virtuelle Netzwerk).
Die Optimierung des Verfahrens zur Weiterleitung von Gruppentraffic kann in diesem Fall durch die Technologie MVR – Multicast VLAN Registration – erfolgen.
Die Lösung besteht darin, ein einziges virtuelles Netzwerk zu schaffen, das alle Empfänger vereint. Dieses virtuelle Netzwerk wird jedoch nur für Gruppentraffic genutzt. Dieser Ansatz ermöglicht es dem Router, nur eine Kopie des Gruppentraffic über das Interface zu senden.
DDM, OAM und DLDP
DDM – Digital Diagnostic Monitoring. Während des Betriebs von optischen Modulen ist es oft notwendig, den Zustand des Moduls sowie des optischen Kanals, an den es angeschlossen ist, zu überwachen. Diese Aufgabe kann durch die DDM-Funktion unterstützt werden. Damit können die Ingenieure des Betreibers die Temperatur jedes Moduls, das diese Funktionalität unterstützt, die Spannung daran und den Strom sowie die Leistung der gesendeten und empfangenen optischen Signale überwachen.
Die Festlegung von Schwellenwerten für die zuvor beschriebenen Parameter ermöglicht es, ein Ereignis zu generieren, falls diese die zulässigen Bereiche überschreiten.
Konfiguration der DDM-Auslöseschwellen
Natürlich kann der Administrator die aktuellen Werte der angegebenen Parameter einsehen.
Der TP-Link T2600G-28SQ Switch verfügt über ein aktives Luftkühlsystem. Außerdem haben wir bisher noch nie ein Überhitzen von SFP-Modulen in unseren Switches festgestellt, das mit der Portdichte zusammenhing. Sollte jedoch theoretisch eine solche Möglichkeit bestehen (z.B. aufgrund eines Problems innerhalb des SFP-Moduls), würde der Administrator durch DDM sofort über eine potenziell gefährliche Situation informiert werden. Die Gefahr besteht hier offensichtlich nicht für den Switch selbst, sondern für die LED/-Laser innerhalb des SFP, da mit steigender Temperatur eine Verschlechterung der Leistung des ausgestrahlten optischen Signals auftreten kann, was zu einer Verringerung des optischen Budgets führt.
Es sei auch erwähnt, dass die Switches von TP-Link keine "Vendor-Lock-Funktion" haben, das heißt, es werden alle kompatiblen SFP-Module unterstützt, was für Netzwerkadministratoren natürlich sehr praktisch ist.
OAM — Betrieb, Verwaltung und Wartung (IEEE 802.3ah). OAM ist ein zweischichtiger Protokoll des OSI-Modells, das zur Überwachung und Fehlersuche in Ethernet-Netzwerken dient. Mit diesem Protokoll kann der Switch die Leistung einer bestimmten Verbindung und Fehler überwachen, Warnmeldungen generieren, damit der Netzwerkadministrator das Netzwerk effizienter verwalten kann.
Basis-Konfiguration von OAM
Details zur Funktionsweise von OAMZwei benachbarte Geräte, die OAM unterstützen, tauschen periodisch Nachrichten aus, indem sie OAMPDU senden, die aus drei Typen bestehen: Informational, Event Notification und Loopback Control. Mit den informativen OAMPDU senden benachbarte Switches einander statistische Informationen sowie vom Administrator festgelegte Daten. Dieser Nachrichtentyp wird auch verwendet, um die Verbindung über das OAM-Protokoll aufrechtzuerhalten. Event Notification Nachrichten werden von der Überwachungsfunktion der Verbindung verwendet, um die gegenüberliegende Seite über aufgetretene Ausfälle zu informieren. Loopback Control Nachrichten werden verwendet, um Schleifen in der Leitung zu erkennen.
Im Folgenden möchten wir die Hauptfunktionen auflisten, die das OAM-Protokoll bietet:
- Umgebungsm Monitoring (Erkennung und Zählung von fehlerhaften Frames),
- RFI – Remote Failure Indication (Übermittlung einer Fehlerbenachrichtigung im Kanal),
- Remote Loopback (Test des Kanals zur Messung von Verzögerung, Verzögerungsvariationen (Jitter) und der Anzahl verlorener Frames).
Eine weitere gefragte Option bei optischen Switches ist die Möglichkeit, Probleme im Kommunikationskanal zu erkennen, die dazu führen, dass der Kanal simplex wird, das heißt, die Daten können nur in eine Richtung gesendet werden. Unsere Switches verwenden zum Erkennen von unidirektionalen Links das Protokoll DLDP – Device Link Detection Protocol. Fairerweise sollte erwähnt werden, dass das DLDP-Protokoll sowohl an optischen als auch an kupfernen Schnittstellen unterstützt wird, jedoch wird es unserer Meinung nach am meisten bei der Verwendung von Glasfaserleitungen gefragt sein.
Bei der Erkennung eines unidirektionalen Kanals kann der Switch automatisch die problematische Schnittstelle ausschalten, was zur Neubildung des STP-Baumes und zur Nutzung der Backup-Kommunikationskanäle führt.
In unserem Arsenal gibt es SFP-Module, die die Signalübertragung über ein einzelnes Faser durchführen. Sie arbeiten ausschließlich in Paaren und verwenden optische Signale auf unterschiedlichen Wellenlängen für die Übertragung innerhalb des Paares. Ein Beispiel wären die Paare TL-SM321A und TL-SM321B. Bei der Verwendung solcher Module führt die Beschädigung einer Faser zur vollständigen Nichtfunktionalität des gesamten optischen Kanals. Dennoch wird das DLDP-Protokoll auch auf solchen Kanälen benötigt, da, obwohl dies äußerst selten vorkommt, der Kanal unterschiedliche Transparenzeigenschaften für verschiedene Wellenlängen haben kann. Ein wahrscheinlicheres Problem besteht in der unterschiedlichen Transparenz des Kanals je nach Richtung der Lichtausbreitung. Um die genannten Probleme zu erkennen, kann ein Reflectogramm helfen, aber das ist schon eine ganz andere Geschichte.
LLDP
In großen Unternehmens- oder Betreibernetzwerken treten gelegentlich Probleme mit der Veralterung der Netzwerkdokumentation oder Ungenauigkeiten bei deren Erstellung auf. Der Netzwerkadministrator kann mit der Situation konfrontiert werden, in der er herausfinden muss, welches Betreibergerät tatsächlich mit einem bestimmten Switch-Port verbunden ist. Hierbei kann das LLDP-Protokoll – Link Layer Discovery Protocol (IEEE 802.1AB) – zur Hilfe kommen.
Betriebsparameter von LLDP
Unsere Switches unterstützen das LLDP-Protokoll nicht nur zur Erkennung benachbarter Switches oder anderer Netzwerkgeräte, sondern auch zur Bestimmung ihrer Fähigkeiten.
Die kupfernen Geschwister unseres Switches können LLDP-MED verwenden, um den Anschlusspunkt von IP-Telefonen zu vereinfachen. Auch mithilfe dieser Option kann der PoE-Switch die Stromversorgungsparameter mit dem angeschlossenen Gerät abstimmen. Darüber haben wir bereits recht ausführlich in einem unserer .
SDM und Re-Subskription
Fast alle modernen Switches verarbeiten durchlaufende Frames und Pakete ohne den Einsatz eines zentralen Prozessors. Die Verarbeitung (die Berechnung von Prüfziffern, die Anwendung von Zugriffskontrolllisten und die Durchführung weiterer Sicherheitsprüfungen sowie die Entscheidung über das Switching/Routing) erfolgt durch spezialisierte Chips, was eine hohe Übertragungsgeschwindigkeit für den Benutzerdatenverkehr ermöglicht. Der besprochene Switch kann den Verkehr mit der Geschwindigkeit des Mediums verarbeiten. Das bedeutet, dass die Leistung des Geräts ausreicht, um Daten mit maximal möglichen Geschwindigkeiten über alle Ports gleichzeitig zu übertragen. Das Modell T2600G-28SQ verfügt über 24 Downlink-Ports (in Richtung der Benutzer) mit Geschwindigkeiten von 1 Gbit/s sowie 4 Uplink-Ports (in Richtung des Netzwerks) mit 10 Gbit/s. Dabei beträgt die Leistung des Switches 128 Gbit/s, was ausreicht, um die maximale Menge des eingehenden Verkehrs zu verarbeiten.
Der Fairness halber sei erwähnt, dass die Leistung der Switching-Matrix 95,2 Millionen Pakete pro Sekunde beträgt. Das bedeutet, dass bei Verwendung von minimalen Frames mit nur 64 Byte die Gesamtausgangsleistung des Geräts 97,5 Gbit/s betragen wird. Allerdings ist ein solches Verkehrsprofil für Betreiber-Netzwerke nahezu unglaublich.
Was ist Over-Subscription?Eine weitere wichtige Frage ist das Verhältnis zwischen den Geschwindigkeiten der Upstream- und Downstream-Kanäle (Over-Subscription). Hier hängt alles offensichtlich von der Topologie ab. Wenn der Administrator alle vier 10 GE-Schnittstellen zur Verbindung mit dem Kernnetzwerk verwendet und diese durch Link Aggregation Group (LAG) oder Port-Channel kombiniert, beträgt die statistisch erzielte Geschwindigkeit in Richtung Kern 40 Gbit/s, was mehr als ausreichend ist, um die Bedürfnisse aller angeschlossenen Abonnenten zu erfüllen. Dabei ist es nicht unbedingt erforderlich, dass alle vier Upstream-Links mit einem einzigen physischen Gerät verbunden sind. Die Verbindung kann auch zu einem Stapel von Switches oder zu zwei Geräten erfolgen, die zu einem Cluster verbunden sind (mithilfe von Technologien wie vPC oder ähnlichem). In diesem Fall gibt es keine Over-Subscription.
Es ist möglich, alle vier aufsteigenden Kanäle gleichzeitig zu nutzen, nicht nur durch deren Kombination über LAG. Ein ähnlicher Effekt kann durch die richtige Konfiguration von MSTP erzielt werden, jedoch ist das eine ganz andere Geschichte.
Eine zweite häufig vorkommende Methode der L2-Verbindung besteht darin, zwei unabhängige LAGs zu verwenden (jeweils bis zu einem Aggregations-Switch). In diesem Fall wird wahrscheinlich einer der virtuellen Links durch das STP-Protokoll (bei Verwendung von STP oder RSTP) blockiert. Die Überbuchung beträgt 5:6.
Eine seltener vorkommende, aber dennoch recht wahrscheinliche Situation: T2600G-28SQ ist über unabhängige Kanäle mit einem oder mehreren übergeordneten Switches verbunden. Das STP/RSTP-Protokoll lässt nur einen solchen Link im unblockierten Zustand. Die Überbuchung beträgt 5:12.
Aufgabe mit Sternchen: Berechnen Sie die Überbuchung für die in Abschnitt STP beschriebenen Situationen, wo wir ein Beispiel einer Topologie betrachtet haben, in der zwei Zugangsswitches an ein Aggregationsgerät angeschlossen sind und miteinander verbunden sind.
Die programmierbaren Chips, mit denen eine so hohe Durchsatzrate erreicht wird, sind recht teuer, daher versuchen wir, ihre Nutzung durch eine optimale Ressourcenteilung zwischen verschiedenen Funktionen zu optimieren. Für die Ressourcenteilung ist das SDM – Switch Database Management – verantwortlich.
Die Verteilung erfolgt über das SDM-Profil. Derzeit stehen drei Profile zur Verfügung, die unten aufgelistet sind.
- Das Default-Profil bietet eine ausgewogene Lösung für die Verwendung von MAC- und IP-Zugriffsliste sowie ARP-Detektionseinträgen.
- EnterpriseV4 ermöglicht es, die Ressourcen, die für MAC- und IP-Zugrifflisten verwendet werden können, maximal auszuschöpfen.
- EnterpriseV6 weist einen Teil der Ressourcen für die Verwendung von IPv6-Zugrifflisten zu.
Um das neue Profil anzuwenden, ist ein Neustart des Switches erforderlich.
Fazit
Gemäß der ursprünglichen Positionierung eignet sich dieser Switch am besten für Telekommunikationsanbieter, die mit der Aufgabe konfrontiert sind, Netzwerke über große Entfernungen bereitzustellen. Das Gerät kann sowohl auf Zugangsebene, beispielsweise in Wohnanlagen und Reihenhäusern, als auch zur Aggregation von Kanälen, die von Zugangsswitches in Mehrfamilienhäusern kommen, verwendet werden; das heißt überall dort, wo Verbindungen zu entfernten Standorten erforderlich sind. Bei der Verwendung von optischen Kommunikationskanälen kann der angeschlossene Abonnent bis zu mehreren Kilometern entfernt sein.
Auf der Kundenseite können die optischen Links an kleinen Switches mit optischen Schnittstellen oder an Medienkonvertern terminiert werden.
Die große Anzahl unterstützter Protokolle und Optionen ermöglicht die Nutzung des T2600G-28SQ in Ethernet-Netzen von Anbietern mit jeder Topologie und jedem Technologie- und Dienstleistungsangebot. Der Switch wird remot verwaltet über eine Web-Oberfläche oder eine Befehlszeile. Bei Bedarf an lokaler Konfiguration kann der Konsolenport verwendet werden; im Modell T2600G-28SQ gibt es zwei: RJ-45 und micro-USB. Als kleiner Wermutstropfen sei der fehlende Support für Stapelung und die zweite Stromversorgung erwähnt. Allerdings ist das Vorhandensein einer zweiten Stromlinie außerhalb der Rechenzentren von Anbietern ohnehin selten.
Zu seinen Vorteilen zählen der niedrige Preis, die hohe Anzahl an Abonnenten-Optikports, die Verfügbarkeit von 10 GE optischen Uplinks, sowie vier kombinierte Ports und die Übertragung von Daten mit mittlerer Geschwindigkeit.
Quelle: habr.com
